Deux sociétés de sécurité ont désormais chiffré les dégâts de l’attaque de la chaîne d’approvisionnement de mars contre LiteLLM, la passerelle open source sur laquelle s’appuient de nombreuses équipes IA pour accéder aux fournisseurs de grands modèles de langage. CloudSEK et Hudson Rock, qui ont publié leurs conclusions les 11 et 12 août, estiment que les identifiants dérobés pendant une fenêtre d’exposition d’environ 40 minutes en mars peuvent être rattachés à plus de 2 500 organisations et à environ 434 000 pipelines CI/CD. Hudson Rock a indiqué avoir travaillé à partir d’un fichier de 195 téraoctets de données volées.
LiteLLM est une dépendance présente dans d’innombrables projets d’IA, car elle sert d’interface d’accès à la plupart des grands fournisseurs de LLM. En mars, des attaquants inconnus ont publié deux versions empoisonnées du paquet, les versions 1.82.7 et 1.82.8, sur le dépôt officiel du Python Package Index. Le code contenu dans ces versions inspectait la mémoire de toute machine sur laquelle le paquet s’exécutait, en collectait le contenu et envoyait les résultats à des serveurs contrôlés par les attaquants. PyPI a retiré les deux versions environ 40 minutes après l’apparition des premiers signalements.
Les attaquants ont récolté, selon les deux sociétés, un large éventail de secrets : clés API pour les fournisseurs d’IA, identifiants cloud pour AWS, Google Cloud et Azure, clés SSH, jetons pour les dépôts de code source, secrets Kubernetes, variables d’environnement et identifiants utilisés pour publier des paquets. Les pipelines qui automatisent la compilation, les tests et les déploiements de logiciels sont des cibles de choix, car ils s’exécutent généralement avec des privilèges étendus et installent les dépendances automatiquement ; cette combinaison a permis à une brève fenêtre de publication de diffuser le code malveillant très loin.
Les deux sociétés ont pris soin de distinguer l’exposition de la compromission. CloudSEK a qualifié ses chiffres d’exposition reconstituée, précisant que la présence d’une organisation dans l’ensemble de données ne prouve pas que ses systèmes ont été compromis ni que tous ses secrets ont été dérobés. Kevin Beaumont, chercheur en sécurité indépendant qui a examiné les données, a déclaré avoir vérifié leur authenticité pour plusieurs organisations victimes et avoir attribué l’ampleur de l’incident à des déploiements d’IA précipités et à une hygiène DevOps défaillante plutôt qu’à quoi que ce soit d’exotique dans l’attaque.
L’association des données à des victimes précises s’est elle-même révélée difficile. Les chercheurs ont indiqué qu’une adresse liée au domaine siriusxm.com s’est avérée appartenir non pas à SiriusXM lui-même, mais à sa filiale publicitaire AdsWizz.
Parmi les noms que les sociétés ont dit pouvoir associer avec une grande confiance figurent Nvidia, AWS, Samsung, Salesforce et Cisco, ainsi que ServiceNow, Siemens, Regeneron Pharmaceuticals, Accenture Federal Services et d’autres. Microsoft, Amazon et le London Stock Exchange Group apparaissent également, aux côtés de FedEx, Volkswagen, Orange, HP et Deutsche Bahn, de même que NGINX et Zscaler.
L’incident de mars est né d’une compromission antérieure. Des attaquants qui avaient dérobé les identifiants d’un mainteneur auprès de Trivy, un scanner de vulnérabilités populaire, les ont réutilisés pour implanter une porte dérobée dans LiteLLM, dans l’action de scan Checkmarx KICS et dans le SDK Python Telnyx. Un groupe se présentant sous le nom de TeamPCP a revendiqué la responsabilité de l’attaque, une revendication largement étayée par les chercheurs, et les médias décrivent ses membres comme étant en majorité des adolescents.
L’affaire a attiré l’attention des autorités. Une alerte flash du FBI et des avis d’Aqua Security, de Checkmarx, de BerriAI, le développeur de LiteLLM, d’Unit 42 et de Sophos couvrent chacun des pans de la campagne.
Les recommandations adressées aux organisations concernées sont sans détour : considérer que chaque secret présent sur les machines infectées est exposé, renouveler les identifiants et auditer les systèmes en aval. L’avertissement plus général de CloudSEK est qu’un paquet empoisonné peut disparaître d’un registre en quelques minutes alors que les identifiants qu’il a collectés restent valides pendant des semaines ou des mois, et que l’infrastructure IA, avec ses passerelles, ses agents et ses points de terminaison de modèles, figure désormais parmi les cibles les plus attractives pour les attaquants de la chaîne d’approvisionnement.
Traduit par Lydie
Sources: Terabytes of credentials leaked in massive supply-chain attack (Ars Technica, août 2026); 2,500+ Companies and 434,000 CI/CD Pipelines Exposed (CloudSEK, août 2026); Over 2,500 Organizations Impacted by LiteLLM Supply Chain Attack (SecurityWeek, août 2026); LiteLLM Breach Exposed 434,000 Pipelines Inside 40 Minutes (Cybersecurity Intelligence, août 2026)